DMARC

La définition

DMARC est un enregistrement TXT publié sur le nom « _dmarc » d'un domaine. Il exige que l'adresse affichée à l'expéditeur concorde avec ce que SPF ou DKIM ont validé, indique au serveur qui reçoit ce qu'il doit faire des messages qui échouent, et demande des rapports.

SPF et DKIM constatent, DMARC décide

Sans DMARC, un serveur qui reçoit un message échouant aux deux vérifications fait ce qu'il juge bon, et sa décision varie d'un fournisseur à l'autre. Avec DMARC, on la lui dicte : laisser passer, mettre en quarantaine, ou refuser. En échange, on reçoit chaque jour un rapport de tout ce qui a été envoyé sous le nom du domaine — y compris par des gens qui n'en ont aucun droit.

C'est aussi le seul des trois mécanismes qui protège l'adresse que le destinataire voit. SPF contrôle l'adresse d'enveloppe, DKIM contrôle le message ; DMARC impose que l'un des deux s'aligne sur le nom de domaine affiché. Sans lui, on peut afficher n'importe quel expéditeur et passer les deux contrôles sans encombre.

Un enregistrement de déploiement

Une politique de quarantaine, une adresse de rapport, et un alignement souple.

_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=r; aspf=r"

« p » est la consigne : « none » n'écarte rien et sert à observer, « quarantine » met de côté, « reject » refuse. « rua » est l'adresse qui reçoit les rapports quotidiens, et c'est elle qui rend le déploiement possible : elle montre qui envoie avant qu'on ne serre la vis.

L'erreur classique

Publier « p=reject » dès le premier jour, parce que c'est la valeur la plus protectrice. Les factures parties de l'outil de comptabilité, les messages du formulaire du site et la newsletter cessent d'arriver, et il faut des semaines pour comprendre ce qui a changé.

Le geste qui l'évite : Commencer par « p=none » avec une adresse de rapport, lire les rapports quelques semaines, autoriser tout ce qu'on découvre de légitime, puis passer en quarantaine et seulement ensuite en rejet. L'escalier prend un mois et ne casse rien.

Ce que les sources ne disent pas pareil : Une révision de la norme, appelée « DMARCbis », circule à l'IETF et modifie certains points, dont la façon de remonter au domaine parent. Selon les sources, elle est présentée comme en cours de publication ou comme déjà publiée. Ce qui est sûr : un enregistrement écrit selon la RFC 7489 continue d'être lu partout.

La référence : DMARC est défini par la RFC 7489 : le nom « _dmarc », les balises et leurs valeurs par défaut, les règles d'alignement avec SPF et DKIM.

Les termes voisins

Pour aller plus loin

Connaître les mots, c'est la moitié du travail

L'autre moitié, c'est de savoir lequel de vos domaines est en train de poser problème. DomainVigil surveille l'expiration, le DNS, les certificats et la réputation, et vous prévient avant le client.

Commencer gratuitement

Cinq domaines gratuits, pour toujours. Sans carte bancaire.

Revenir au glossaire